Hetzner Sperrung durch IP Spoofing

Kaki · 18. September 2022 um 14:25

Hallo,
erstmal danke für eure Rückmeldung auf unseren Beitrag und die Unterstützung. Wir werden in der letzten Zeit häufiger bei Hetzner gesperrt mit der Begründung, dass wir IP-Adressen nutzen, die nicht dem Host zugeordnet sind. Durch dieses Spoofing der IP-Adressen werden teilweise einzelne IPs, manchmal aber auch der komplette Host gesperrt durch die Deaktivierung des Switch Ports. Ihr hattet geschrieben, dass ihr das Problem auch schon hattet, dass es sich um ICMP-Traffic handelt und dass es durch iptables-Regeln gelöst wurde.
In unserem Fall sind es UDP- und TCP-Pakete, die in dem Log-Auszug aufgeführt werden. Könntet ihr eure Regeln, die ihr angewandt habt, zur Verfügung stellen? Wenn ihr weitere Infos braucht gerne Bescheid sagen.
Danke und schönen Gruß
Jan

corny456 · 18. September 2022 um 20:53

Hallo Jan,

Das ist die Regel die wir auf unseren Gateways eingefügt haben.

github.com

FreiFunkMuenster/Ansible-Freifunk-Gateway/blob/master/iptables/templates/rules.v4.j2#L18


      
          -A FORWARD -p tcp --dport {{port}}  -j DROP
          {% endfor %}
          {% endif %}
          {% if blocked_udp_ports is defined %}
          {% for port in blocked_udp_ports %}
          -A FORWARD -p udp --dport {{port}}  -j DROP
          {% endfor %}
          {% endif %}
          :OUTPUT ACCEPT [0:0]
          -A INPUT -p udp -m udp --dport 111 -j DROP
          -A OUTPUT -p icmp -m icmp --icmp-type 3 -j DROP
          COMMIT
          *nat
          :PREROUTING ACCEPT [0:0]
          :INPUT ACCEPT [0:0]
          :OUTPUT ACCEPT [0:0]
          :POSTROUTING ACCEPT [0:0]
          {% if ipv4_direkt_ausleiten is defined and ipv4_direkt_ausleiten %}
          {% if domaenenliste is defined %}
          -A POSTROUTING -o {{ ansible_default_ipv4.interface }} -j SNAT --to-source {{ ansible_default_ipv4.address }}
          {% endif %}

Die Lösung ist nur Quick and Dirty aber war die einfachste und schnellste Lösung in dem Moment.

Die Ursache bei uns ist wohl das Traffic mit der FFRL IP der eigentlich durch die Tunnel zum FFRL genattet werden sollte aus der eth0 zu Hetzner fällt. Warum das so ist haben wir noch nicht ergründen können aber vielleicht ist das bei euch ein ähnliches Problem.

Aufgefallen ist das bei einem Gateway dessen VM uns zur Verfügung gestellt wird. Auf dem Blech läuft Windows als Hypervisor. Unsere eigenen Bleche laufen alle mit Ubuntu/Debian und da scheint das Problem nicht auf zu treten da anders als bei dem Windows Hypervisor die falschen Pakete wohl in der Bridge zum Host hängen bleiben.

Scheinbar hat Hetzner da sein Monitoring auf gebohrt das da plötzlich so Probleme auftauchen…

Kaki · 19. September 2022 um 07:01

Hi,
danke für die schnelle Reaktion. Ich habe es in unserem Setup mal erweitert, hoffen wir mal dass es hilft.
Danke und schönen Gruß
Jan